如何强制Git pre-commit钩子执行，防止开发者用--no-verify绕过？

1. 能否强制本地pre-commit钩子无法被跳过？ #

无法做到。Git原生支持通过--no-verify参数跳过所有客户端钩子，这是设计层面的机制，没有官方方法能彻底阻止开发者使用该参数。即便通过修改本地Git权限或源码限制，也会被有技术能力的开发者绕过，且这种操作违背Git的设计逻辑，还会破坏正常开发流程。

2. 推送前验证钩子执行状态的替代方案 #

虽然没法阻止跳过pre-commit，但可以通过以下手段在推送环节补全校验：

• 本地pre-push钩子校验标记：
  在pre-commit钩子执行成功后，写入一个本地验证标记，再用pre-push钩子检查该标记是否匹配当前提交。
  示例代码：
  pre-commit钩子末尾添加：

  # 提交验证通过后，记录当前提交哈希到验证文件
  git rev-parse HEAD > .git/hooks/pre-commit-validated
  

  pre-push钩子中添加校验逻辑：

  CURRENT_COMMIT=$(git rev-parse HEAD)
  VALIDATED_COMMIT=$(cat .git/hooks/pre-commit-validated 2>/dev/null)
  
  if [ "$CURRENT_COMMIT" != "$VALIDATED_COMMIT" ]; then
      echo "Error: 本次提交未通过pre-commit钩子验证，禁止推送"
      exit 1
  fi
  

  注：这种方法不能完全防绕过，但能拦截大部分无意跳过或不熟悉Git的开发者。
• 团队仓库模板强制部署钩子：
  将配置好的pre-commit、pre-push钩子加入团队统一的Git初始化模板，确保开发者克隆仓库时自动安装钩子。同时通过团队规范明确要求不得修改/删除钩子文件，配合代码审查强化执行力度。

3. pre-receive钩子能否确保推送前pre-commit已执行？ #

可以，但需要配合本地钩子的标记机制：

1. 本地pre-commit钩子执行成功后，给当前提交添加唯一验证标识——比如在提交信息末尾追加加密的验证字符串，或者用Git的notes功能添加服务器可识别的验证标记。
2. 服务器端的pre-receive钩子检查每个待推送的提交是否包含该验证标识，无标识则直接拒绝推送。

这种方案可靠性更高，因为服务器端钩子是强制执行的，开发者无法绕过。需要注意：

• 验证标识要避免被伪造，比如使用团队统一的密钥生成签名。
• 若允许修改历史提交，需处理变基后提交的验证同步问题。

内容的提问来源于stack exchange，提问作者Manu M